Безопасность сервера сайта и веб-инфраструктуры

Внешний периметр сайта

Периметр включает домены, поддомены, IP-адреса, открытые порты, панели управления и служебные интерфейсы, доступные из интернета. Инвентаризация сопоставляет эти объекты с владельцами и назначением. Заброшенный поддомен, старый тестовый сервер или забытая панель часто остаются вне обычного контроля команды.

Отдельно ищутся открытые архивы, дампы базы, конфигурации и каталоги репозитория. Для сайта за CDN проверяется прямой адрес origin-сервера: запросы к нему должны проходить только по согласованному маршруту.

• домены, поддомены и DNS-записи
• внешние IP, порты и сетевые службы
• панели хостинга и административные интерфейсы
• тестовые узлы, архивы и служебные файлы
• origin-серверы за CDN или межсетевым экраном (WAF)

Укрепление Linux/VPS и контейнеров

На Linux-сервере проверяются пользователи, SSH-ключи, sudo, сетевые правила, обновления, работающие службы, права на файлы и журналирование. Изменения выполняются с контрольным входом, чтобы доступ администратора сохранялся после применения настроек.

Для Docker важны происхождение образа, версия базового слоя, пользователь внутри контейнера, секреты, тома, сетевые связи и доступ к Docker socket. Проверка показывает связь между конкретной настройкой контейнера и доступом к хосту или данным приложения.

S3, CDN и кеш

В объектном хранилище проверяются публичность бакетов, политики доступа, временные ссылки, журналирование и жизненный цикл файлов. Для резервных копий может использоваться режим блокировки Object Lock: на согласованный период хранилище защищает копию от изменения и удаления.

CDN проверяется на разделение публичного и персонального контента. В ключ кеша должны попадать параметры, которые действительно меняют ответ, а страницы личного кабинета и ответы с чувствительными данными получают подходящие правила кеширования.

Домен, DNS и сертификаты

Защита домена включает доступ к регистратору, отдельную учётную запись, второй фактор, блокировку переноса и контроль контактных данных. DNSSEC помогает проверять подлинность DNS-ответов, CAA ограничивает центры сертификации, а мониторинг срока сертификата предупреждает о приближении ошибки HTTPS.

Почтовая инфраструктура домена связана с доверием к сайту и уведомлениям. MTA-STS задаёт требование шифровать доставку писем, TLS-RPT присылает отчёты об ошибках шифрования, а DMARC определяет проверку домена отправителя и политику для поддельных писем.

Контроль и восстановление

Защита инфраструктуры завершается наблюдаемостью: журналы входов и изменений, уведомления о доступности копий, контроль DNS и сертификатов, а также понятный порядок восстановления. Для базы можно настроить возврат на выбранный момент времени, а для всего сайта провести тест по целевому времени запуска после сбоя (RTO) и допустимому объёму потери данных, измеряемому временем (RPO).

На странице каждой услуги перечислены проверяемый результат и передаваемые материалы: изменённая конфигурация, список внешних активов, журнал, тестовая копия, схема доступа или отчёт с приоритетами.

Как подготовить инфраструктурную работу

Для начала полезны схема размещения, список доменов и адресов, название хостинга или облака, версии ОС и контейнерной платформы. Доступ к настройкам можно выдавать после согласования конкретной задачи. Перед изменениями фиксируется текущее состояние и проверяется резервная копия критичных конфигураций.

Если сервер обслуживает заказы, интеграции или личные кабинеты, заранее перечисляются ключевые сценарии и допустимое окно обслуживания. После каждого существенного изменения проверяются административный вход, сайт, фоновые задания, база, почта и внешние обмены. Это связывает усиление защиты с реальной работой сервиса.

На управляемом хостинге доступ root может отсутствовать. Тогда работа сосредотачивается на доступных уровнях: панели, PHP и веб-сервере, файлах сайта, DNS, CDN, S3 и резервных копиях. Ограничения площадки фиксируются заранее, а результат выбирается из настроек, которыми владелец действительно управляет. В итоговой инструкции отдельно отмечаются действия для поддержки хостинга и признаки, по которым клиент проверит их выполнение.